Sedex SAQ-spørgeskema: Sådan indsamler I data og sikrer svar, der stemmer med praksis

Sedex SAQ bør ikke udfyldes af én afdeling alene på grundlag af procedurer og tidligere erklæringer. Svarene skal afspejle den faktiske praksis i den konkrete juridiske enhed eller på den enkelte lokation og stemme overens med dokumentation, driftsdata og medarbejdernes erfaringer. Forberedelsen bør derfor begynde med en klar afgrænsning, udpegning af dataejere og fastlæggelse af krav til dokumentation. Først derefter giver det mening at indsamle oplysninger, afklare uoverensstemmelser, godkende svarene og planlægge lukningen af konstaterede mangler.

SAQ som et billede af virksomhedens faktiske praksis

Sedex SAQ er organisationens selvevaluering – ikke et certifikat eller et selvstændigt bevis på overensstemmelse. Spørgeskemaet beskriver den erklærede praksis i en bestemt juridisk enhed eller på en konkret lokation. Modtageren kan sammenholde svarene med dokumenter, driftsdata, medarbejdersamtaler og resultater fra en social audit. Værdien af en SAQ afhænger derfor ikke af antallet af positive svar, men af sammenhængen mellem erklæringer, objektiv dokumentation og faktisk praksis.

Arbejdet bør begynde med at afklare det forretningsmæssige formål, hvem der skal modtage svarene, og hvilke krav modtagerne stiller. Det skal fastlægges, om omfanget omfatter en juridisk enhed, ét anlæg eller en gruppe lokationer. Derefter bør organisationen kontrollere spørgeskemaets aktuelle version og datoen for dets tilgængeliggørelse i systemet. Formularen og kundernes forventninger kan ændre sig. Genbrug af tidligere svar uden en ny vurdering af omfanget kan derfor føre til modstridende eller misvisende erklæringer. Én koordinator bør have det samlede ansvar, mens data skal leveres og bekræftes af de relevante procesejere.

SAQ går på tværs af organisationen. Spørgsmålene kan vedrøre ansættelsesforhold, arbejdsmiljø, miljøpåvirkning og forretningsetik. Oplysningerne bør derfor komme fra HR, arbejdsmiljøfunktionen, driften, indkøb samt de ansvarlige for miljø, økonomi og compliance. Kvalitetsfunktionen kan styre arbejdsmetoden og kontrollere svarenes indbyrdes sammenhæng, men bør ikke overtage procesejernes ansvar eller fortolke praksis på områder, som funktionen ikke selv ejer.

En erklæring om medarbejderuddannelse kræver, at der skelnes mellem tre situationer. Hvis uddannelsen gennemføres og understøttes af ajourførte registreringer, er svaret solidt dokumenteret. Hvis praksis fungerer, men registreringerne er ufuldstændige, skal den faktiske situation beskrives, og dokumentationen bringes under kontrol. Hvis løsningen endnu ikke er implementeret, kan en politik eller handlingsplan ikke træde i stedet for reel gennemførelse. Der er behov for en ledelsesbeslutning, som fastlægger korrigerende handling, frist og ansvar. Denne tilgang understøtter due diligence i leverandørkæden og forberedelsen til en kundevurdering, også i den bredere sammenhæng beskrevet i Sådan forbereder I teamet til en kundeaudit, når APQP, PPAP og årsagsanalyse er påkrævet.

Omfang, roller og regler for besvarelsen

Inden spørgsmålene fordeles, skal den rapporterende enhed defineres formelt: virksomhed, produktionssted, lager, kontor eller en anden lokation, der er omfattet af SAQ-profilen. Omfanget bør også angive, hvilke persongrupper og ansættelsesformer der indgår. Koncerndata kan anvendes som supplerende kilde, men kan ikke erstatte data fra den lokation, der vurderes. Der bør desuden fastlægges en fælles referenceperiode for tal samt en skæringsdato for vurdering af aktualiteten af dokumenter, uddannelse, risikovurderinger og korrigerende handlinger.

Ansvaret bør fordeles mellem SAQ-koordinatoren, de faglige procesejere, de personer, der verificerer oplysningerne, og den person, som godkender offentliggørelsen. Koordinatoren har ansvar for spørgeskemaets fuldstændighed og konsistens, men bør ikke udarbejde svar på vegne af HR, arbejdsmiljø, indkøb eller drift. Koordineringen kan være central, mens bekræftelsen af praksis og data bør ske så tæt på den vurderede lokation som muligt.

Inden dataindsamlingen begynder, skal kravene til dokumentation være fastlagt. Kilderegistreringer og transaktionsdata bør have forrang for manuelt udarbejdede oversigter, og faktisk praksis bør have forrang for formuleringer i en politik. Enhver undtagelse kræver en beskrivelse af omfang og årsag. Hvis der anvendes et estimat, skal metoden, ejeren og godkenderen fremgå. Svaret „ikke relevant” kræver en begrundelse, der følger af aktiviteternes omfang. Manglende dokumentation eller data er ikke i sig selv en sådan begrundelse.

Tvivlsspørgsmål og uoverensstemmelser bør registreres i et særskilt register. For hvert punkt bør registret angive ejer, frist, dokumentation, beslutning og den person, der træffer den endelige afgørelse. Det forhindrer, at væsentlige afklaringer kun findes i e-mails eller mundtlige aftaler. Ledelsens godkendelse er især nødvendig, når et svar bekræfter en politik, en organisatorisk forpligtelse, en væsentlig undtagelse eller et accepteret estimat. Overdragelsen af disse principper til nye procesejere kan kobles til emnet Sådan etablerer I onboarding af en ny kvalitetsingeniør eller ISO-ledelsesrepræsentant.

Kortlægning af data og dokumentation

Dokumentationspakken til SAQ bør bygges op ud fra en kortlægning af spørgsmålene – ikke ved at samle alle dokumenter, organisationen råder over. For hvert spørgsmål skal den forventede oplysning, måleenheden, den primære kilde, dataejeren og datoen for oplysningernes aktualitet fastlægges. Dokumentationsregistret bør forbinde spørgsmålets identifikator med det foreløbige svar, det organisatoriske omfang, referenceperioden, verifikationsdatoen og eventuelle konstaterede mangler. Det skaber sporbarhed og reducerer behovet for at indtaste de samme værdier flere gange.

Kortlægningen bør skelne mellem politikker, procedurer, registreringer af udførte aktiviteter og observerbar praksis. En politik bekræfter, at et princip er vedtaget. En procedure beskriver fremgangsmåden. En registrering dokumenterer, at en aktivitet er udført, mens praksis viser, om løsningen reelt fungerer. Et dokument, der fastlægger et forbud, en pligt eller en forpligtelse, dokumenterer ikke i sig selv, at kravet efterleves i praksis. Afhængigt af spørgsmålet kan dokumentationen eksempelvis bestå af personale- og løndata, arbejdstidsregistreringer, arbejdsmiljøregistre, risikovurderinger, uddannelsesregistreringer, miljøtilladelser og målinger, registre over klager, undersøgelser og opfølgende handlinger samt leverandøroplysninger.

Definitionerne skal afstemmes, før data samles. „Antal ansatte” kan betyde antallet af personer på en bestemt dato, et gennemsnit for perioden eller antal fuldtidsækvivalenter. „Ekstern medarbejder” kan omfatte vikaransatte, underleverandørers medarbejdere eller kun personer, som arbejder fast på lokationen. HR, arbejdsmiljø og drift kan også klassificere en arbejdsulykke, en klage eller en gennemført uddannelse forskelligt. Antallet af uddannede personer er ikke pålideligt, hvis én afdeling betragter deltagelse som tilstrækkeligt, mens en anden først registrerer uddannelsen som gennemført efter bestået prøve eller opnået autorisation. Definition, referencedato og kriterier for medregning skal dokumenteres, inden data trækkes.

Hvis kilderne er modstridende, bør den autoritative, kontrollerede kilde, der ligger tættest på hændelsen, have forrang. Uoverensstemmelser mellem HR-systemet, en lokal liste og en manuel oversigt skal afklares – ikke udjævnes ved at beregne et gennemsnit. Estimerede data kan kun anvendes, hvis formularen og spørgsmålets karakter tillader det. Beregningsmetode, forudsætninger og godkendelse skal i så fald bevares. Mangler bør håndteres som problemer, hvor årsag og handling skal fastlægges, i tråd med metoden beskrevet i A3-problemløsning – sådan udarbejder I ét dokument, der leder teamet frem mod en løsning.

Tilstrækkelig dokumentation kræver ikke nødvendigvis komplette kopier af personalemapper, lønsedler eller sagsmateriale fra undersøgelser. SAQ-grundlaget bør begrænses til det, der er nødvendigt for at underbygge svaret. Adgangskontrol og anonymisering af personoplysninger og følsomme oplysninger skal anvendes, når identifikation af enkeltpersoner ikke er nødvendig. Registret bør angive opbevaringssted og regler for opbevaring, men ikke kopiere de oprindelige datasamlinger. Før dokumenter deles, bør det kontrolleres, at anonymiseringen ikke fjerner oplysninger, som er nødvendige for at vurdere dato, lokation, gennemført handling eller resultat.

Kontrol af svarenes konsistens

Kontrollen af SAQ bør omfatte fire perspektiver: den logiske sammenhæng mellem svarene, værdiernes overensstemmelse med kildedokumentationen, kontinuiteten i data fra periode til periode og sammenhængen mellem erklæringer og praksis på lokationen. Det er ikke tilstrækkeligt blot at kontrollere, om alle felter er udfyldt. Et svar kan være registreret og samtidig være i konflikt med en anden del af spørgeskemaet, være forældet eller kun gælde for en del af organisationen. De mest kritiske uoverensstemmelser vedrører normalt omfanget, de omfattede persongrupper og implementeringsstatus, fordi de påvirker betydningen af flere svar på én gang.

Verifikationen bør baseres på et dokumentationsspor fra det enkelte SAQ-felt til en konkret kilde, dataejer og beregningsmetode. For tal bør afstemningen mod kildesystemet dokumenteres. For beskrivende svar bør der henvises til et dokument, en registrering eller observeret praksis. Antallet af spørgsmål uden ejer, kilde eller bekræftelse kan anvendes som en intern indikator for parathed. Uoverensstemmelser skal registreres sammen med beslutning, begrundelse og godkender, frem for at blive skjult ved blot at omformulere svaret uden at afklare årsagen.

Konflikter bliver ofte først synlige, når oplysninger fra flere områder sammenholdes. En politik kan formelt omfatte alle medarbejdere, mens uddannelsesregistreringerne kun dokumenterer introduktion af en del af arbejdsstyrken. En klagekanal kan være beskrevet i en procedure, selv om medarbejderne ikke ved, hvor den findes, eller om den kan anvendes fortroligt. Antallet af ansatte kan være uforeneligt med oplysninger om arbejdstid, arbejdsmiljøuddannelse eller arbejdsulykker, især hvis vikaransatte eller underleverandørers medarbejdere er udeladt. I sådanne tilfælde skal det korrekte omfang af svaret fastlægges. Man bør ikke blot vælge den mest fordelagtige værdi.

SAQ kan kontrolleres uden at gennemføre en fuld intern audit ved hjælp af en tværgående gennemgang og en begrænset auditmæssig stikprøve. En person uden for det område, som har leveret dataene, bør følge udvalgte svar fra formularen tilbage til registreringerne, sammenholde data fra to uafhængige kilder og kontrollere dem mod en mindre stikprøve af dokumenter og medarbejdere. Stikprøven bør omfatte forskellige ansættelsesformer, skiftehold, lokationer og perioder med forhøjet risiko. Den verificerende persons uafhængighed har praktisk betydning: Procesejeren kender processens intention, men ser ikke nødvendigvis de afvigelser, som er tydelige for en person uden for området. Samme disciplin i etableringen af et dokumentationsspor er relevant i emnet ISO 22163 i jernbanesektoren: Hvor lang tid tager implementeringen af IRIS, og hvordan forberedes virksomheden til audit?.

Det sidste trin er en sproglig kontrol. Formuleringer som „alle”, „altid” og „på alle lokationer” er kun berettigede, hvis dokumentationen dækker hele det erklærede omfang. Hvis processen har undtagelser, skal svaret synliggøre dem og beskrive, hvordan de håndteres. En godkendt plan, en påbegyndt implementering eller en bestilt uddannelse må ikke fremstilles som en løsning, der allerede fungerer. En tydelig sondring mellem opnået status og planlagte handlinger beskytter SAQ’ens troværdighed og gør det muligt senere at dokumentere fremdrift.

Mangler, risici og betingede svar

En mangel, der konstateres under SAQ-gennemgangen, skal klassificeres, fordi ikke alle mangler har samme karakter. Der bør skelnes mellem:

• manglende data,
• modstridende registreringer,
• et formelt fastlagt princip, som ikke er implementeret,
• en reel operationel afvigelse,
• et spørgsmål, der kræver juridisk eller kontraktmæssig fortolkning.

Registret over mangler bør angive datoen for konstateringen, de berørte personer, processer eller lokationer, ejeren, fristen og den dokumentation, der kræves for at lukke punktet. Hvis afklaringen afhænger af gældende ret, ansættelsesvilkår eller kundens kontraktkrav, bør der indhentes juridisk eller kontraktmæssig rådgivning. Organisationen bør ikke internt vælge den fortolkning, der er lettest at arbejde med.

Prioriteringen bør baseres på den mulige påvirkning af mennesker, miljøet, overensstemmelse med krav og organisationens troværdighed over for kunden. Hvor let et punkt er at rette, kan påvirke tidsplanen, men bør ikke afgøre problemets væsentlighed. En mangel bør standse indsendelsen af SAQ, hvis den forhindrer en pålidelig besvarelse, vedrører en væsentlig risiko eller betyder, at erklæringen ville være misvisende. I andre tilfælde kan ledelsen acceptere en midlertidig risiko, forudsat at beslutningsgrundlaget og begrænsningerne i svaret beskrives åbent.

En ufuldstændig status skal beskrives, som den faktisk foreligger på datoen for godkendelse af spørgeskemaet. Planlagte eller igangsatte handlinger beskrives særskilt med angivelse af ejer, frist og metode til verifikation af effektiviteten. Status bør skelne mellem planlagt, igangsat, implementeret og verificeret. Dokumentationssporet må ikke suppleres med tilbagedaterede dokumenter, og svar bør ikke alene baseres på en leders forsikring om, at en bestemt praksis anvendes. Manglende dokumentation er fortsat et forhold, der kræver afklaring – ikke et redaktionelt problem. Denne tilgang følger logikken for korrigerende handlinger og er i tråd med emnet Sådan samler I data fra reklamationer, audits, SPC og FMEA i én forbedringslogik.

En virksomhed kan eksempelvis erklære, at klagekanalen er tilgængelig for alle, der udfører arbejde. Gennemgangen bekræfter, at der findes en procedure, men viser ikke, at vikaransatte har fået information om indberetningsmetoden, fortrolighed og beskyttelse mod repressalier. I denne situation bør erklæringen om universel adgang ikke fastholdes. SAQ-svaret skal korrigeres, den manglende persongruppe skal informeres, og det bør gennem samtaler eller stikprøver verificeres, at mekanismen reelt er tilgængelig og forstået. Manglen er først lukket, når effektiviteten er bekræftet – ikke når meddelelsen er udsendt.

Godkendelse og løbende vedligeholdelse af SAQ

Inden SAQ offentliggøres, bør der gennemføres en formel kontrol af svarenes fuldstændighed, aktualitet og indbyrdes sammenhæng, håndteringen af undtagelser samt overensstemmelsen med det organisatoriske og informationsmæssige omfang, som kunden kræver. Det bør også kontrolleres, om de oplysninger, der videregives, er omfattet af begrænsninger vedrørende informationsbeskyttelse, personoplysninger eller kontraktlige forpligtelser. Ledelsens godkendelse må ikke begrænses til tilladelse til teknisk at indsende formularen. Den godkendende person bør kende de væsentlige mangler, accepterede risici og udestående handlinger.

Efter offentliggørelsen skal den godkendte version af svarene, registret over anvendte kilder, godkendelsesdatoen og grundlaget for centrale beregninger bevares. Registreringen bør også omfatte versionsnummer, næste gennemgangsdato og en liste over åbne handlinger med status og forventet dokumentation for effektivitet. Dette spor gør det muligt at rekonstruere grundlaget for erklæringerne under en audit og reducerer risikoen for, at data beregnes efter andre forudsætninger ved næste opdatering.

Den person, der ejer vedligeholdelsen af SAQ, bør føre et ændringsregister for forhold, der påvirker de offentliggjorte svar. En periodisk gennemgang er ikke tilstrækkelig, hvis der inden næste frist sker ændringer i aktivitetsprofilen, bemandingsstrukturen, lokationen, væsentlige kundekrav eller omfanget af tilladelser, eller hvis der indtræffer en alvorlig driftsmæssig hændelse. Etablering af et nyt anlæg eller en væsentlig stigning i andelen af vikaransatte kræver en fornyet kontrol af dataomfanget og den erklærede praksis, også selv om den planlagte gennemgang endnu ikke er forfalden.

Mangler identificeret gennem SAQ bør integreres i organisationens eksisterende processer for ændringsstyring, korrigerende handlinger og ledelsens evaluering, frem for at blive ført på en særskilt liste alene til Sedex-formål. Prioriteringen bør være risikobaseret, og lukning af en handling bør kræve dokumenteret effektivitet – ikke blot, at opgaven er udført. En anvendelig struktur for tidsplanen beskrives i Sådan udarbejder I en kvalitetsforbedringsplan for 3, 6 og 12 måneder. På den måde forbliver spørgeskemaet en kontrolleret registrering af organisationens aktuelle status og ikke blot et historisk øjebliksbillede fra indsendelsesdatoen.